Server gehackt.. Wat is de oorzaak?

[Marijn01]

Hallo,

Gister is mijn webserver gehackt en zijn alle index bestanden vervangen met de tekst "Hacked by AH-Crew".

Alleen weet ik nu niet hoe dit heeft kunnen gebeuren, aangezien ik dacht dat ik de webserver goed had beveiligd.

Wat gegevens over de server:
Debian 4.0 met Directadmin
APF stond erop, en alleen de noodzakelijke poorten stonden open
Ddos Deflate was geïnstalleerd

Ik kan nu alleen niet achterhalen hoe ze op mijn server zijn gekomen. Als ik in /var/log/auth.log kijk, zijn er geen bijzondere dingen gebeurd. Ook heeft niemand ingelogd via SSH. Deze heb ik trouwens niet op de standaard port 22 gezet.

Toch hebben ze wel toegang gehad tot de shell, want ik kan wel zien welke commandos zijn uitgevoerd:


Maar ik kan in de log bestanden verder niks vinden over hoe ze toegang hebben gekregen.. Heeft iemand een idee hoe ze dit hebben kunnen doen?

Als ik meer informatie moet posten hoor ik het graag.

[marsipulami]

een malafide ftp scriptje? FTP logs al eens bekeken?

[Geert-Jan]

Als ik meer informatie moet posten hoor ik het graag.

Niet alleen de auth.log, maar zoek ook eens in de ftp toegangen, en alle andere manieren waarop toegang tot een server _kan_ worden verkregen.

PHPMyADMIN up to date b.v.?
Via welke users is FTP toegang verkregen?
...enz.

[DiedX]

Ik heb toch het idee dat er nog wel meer gaten zaten. Erg lame trouwens om een volledige server te defacen, alleen maar voor de statistieken: http://ah-crew.com/scripts/zone-h.txt

Had ik nu tijd over gehad, dan had ik nog wel met je willen kijken, maar ik heb echt even geen tijd over

[tjvb]

Een lek script met de mogelijkheid voor exec o.i.d.? En verder de hierboven genoemde punten

[AB-Systems]

Ik heb hetzelfde probleem gehad op een windows server.. bleek uiteindelijk via OScommerce binnen gekomen te zijn. Na die site compleet geïsoleerd is, is het niet meer voor gekomen...

[Marijn01]

Bedankt voor jullie reacties. In de ftp logs heb ik niks kunnen vinden. Ik zit nog wel even in de database te kijken.

Ik zie trouwens wel dat Safe Mode bij alle users op OFF staat.. En open basedir op ON. (php versie 5.2.17). Kan dit er ook mee te maken hebben?

[Jimmy1987]

Safe mode uit maakt niet uit, dat is toch maar schijnveiligheid
Heb je iets geïnstalleerd als suphp of mod_ruid? Of draaien alle users onder de apache/nobody user?

[edge]

Is zoals ik het kan zien via SSH gedaan omdat je de commando's die ze gegeven hebben terug kan zien in de shell.

Heb je een moeilijk wachtwoord voor SSH toegang?

[Marijn01]

Heb je iets geïnstalleerd als suphp of mod_ruid? Of draaien alle users onder de apache/nobody user?

Nee, is dat wel aan te raden?

Is zoals ik het kan zien via SSH gedaan omdat je de commando's die ze gegeven hebben terug kan zien in de shell.

Maar dan zou ik het toch gewoon in de log moeten kunnen teruglezen? Daar staat geen bijzonderheden in..

[edge]

Waar staat je log file?

Zoals je ziet hebben ze o.a. in de auth.log gezeten.

Heb je de server ook al met rkhunter en chkrootkit gescaned?
Het kan best wel zo zijn dat er veel meer mis is met je server dan enkel een "deface"

[Mark17]

Indien gewenst wil ik wel voor je kijken wat ik aan sporen kan traceren. Zeer waarschijnlijk zijn er wel ergens sporen te vinden in de logs.

Is alle software verder wel geupdate naar de meest recente versie voor zover bekend?

Gezien het feit dat deze server gehackt is adviseer ik om hem opnieuw te installeren (en daar bij alle data te vernietigen die aanwezig is) voor je hem weer als "relatief veilig"/productie in gebruik neemt (indien mogelijk).

[Marijn01]

Bedankt. Ik heb de server al helemaal opnieuw geinstalleerd. De log bestanden en nog wat andere bestanden heb ik wel gebackuped. Ik weet niet of dat voldoende is?

[Mark17]

Bedankt. Ik heb de server al helemaal opnieuw geinstalleerd. De log bestanden en nog wat andere bestanden heb ik wel gebackuped. Ik weet niet of dat voldoende is?

Als je alle logs nog hebt is waarschijnlijk wel een vermoedelijke oorzaak te vinden. Helemaal als je toevallig weet welke software versies van bijv. proftpd en exim in gebruik waren.

Eventueel kun je de logs mailen naar info@mscholten.eu en dan zal ik er snel naar kijken.

[edge]

Tja. Nu weet je nog niet wat het probleem was en kunnen ze de server misshien weer hacken.